如何在 WordPress 中正确创建用户登录状态短代码

WordPress 短代码必须通过 return 返回 HTML 内容，而非 echo；否则会导致输出混乱、语法错误或页面渲染异常。本文详解短代码开发规范、常见陷阱及安全优化实践。

WordPress 短代码必须通过 return 返回 HTML 内容，而非 echo；否则会导致输出混乱、语法错误或页面渲染异常。本文详解短代码开发规范、常见陷阱及安全优化实践。

在 WordPress 里搞自定义短代码（比如 [user_logged_in]），算是一项基础活儿，但也是一个特别容易踩坑的环节。你碰到的那个 syntax error, unexpected '}', expecting ';' or ',' 错误，表面看是语法问题，说到底就是 PHP 语句末尾少了分号——不过，比这更关键的一层是：短代码的回调函数必须返回字符串，绝对不能直接往外“丢”内容（也就是用 echo）。

WordPress 的短代码机制，本质上是在内容解析阶段同步执行回调，然后把返回值插入到文章正文流里。一旦你用了 echo，内容就会立刻冲到响应流最前端——很可能在 标签之前就输出了，直接破坏 HTML 结构。更烦人的是，这种操作常常让 PHP 解析器上下文错乱，抛出各种误导性的语法错误（比如提示你少了个分号）。

✅ 正确的写法长这样（分号和返回逻辑都已修复）：

function user_logged_in_function() {
    if ( is_user_logged_in() ) {
        return 'Welcome, logged in user. Click here to logout.';
    } else {
        return 'Please login by clicking here.';
    }
}
function register_shortcodes() {
    add_shortcode( 'user_logged_in', 'user_logged_in_function' );
}
add_action( 'init', 'register_shortcodes' );

? 几个关键改进点：

• 强制 return：确保函数返回纯字符串，交给 WordPress 安全地注入内容流，而不是自己直接“扔”到页面上。
• 补全分号：每一条语句末尾都加上 ;（原代码里 echo 后面确实少了分号）。
• 安全增强：用 esc_url() 对 wp_login_url() 和 wp_logout_url() 的输出做了过滤，防 XSS 攻击。
• 钩子时机合理：init 是注册短代码的标准时机，保证在内容解析之前完成注册。

⚠️ 额外需要注意的点：

• 千万别在短代码函数里调用 wp_redirect()、header() 或者 exit()，这些会打断 WordPress 的请求生命周期，搞不好直接白屏。
• 避免在短代码中执行耗时操作（比如远程 API 调用），不然每加载一次页面都得等，性能直线下降。
• 如果需要支持参数（比如自定义提示文字），可以把函数签名扩展成 function user_logged_in_function( $atts ) { ... }，然后用 shortcode_atts() 设定默认值。

把上面这段代码放到当前主题的 functions.php 文件底部（或者封装成独立插件），然后在任意文章或页面里直接用 [user_logged_in]，就能显示动态登录状态了。简洁、安全、符合 WordPress 编码规范——这才是生产环境该用的短代码实践。